Comments 8
Как говорится, кто проверит того, кто проверял?
Ну конечно же проверяющая компания проверяющих компаний
— Потому что мы, Аркаша, кто? — Му@@ки? — Нет, бюрократическая машина
Видали аудиты и помаразматичнее, и даже без стыдливой приставки «экспресс»
А если пользователь не установил пароль на телефоне, о какой защищённости на системном уровне вы говорите? Вы правда даже Keychain, который хоть как-то шифруется не используете? Конечно зависит от специфики приложения, но если оно работает, например, с платёжной информацией, то ваш аргумент «сам дурак» не очень состоятелен. Либо вообще не храните критичную информацию, либо позаботьтесь о её защите.
В данном случае мы не храним ни паролей, ни ключей (которые действительно стоит хранить в keychain), ни платежной информации (которую вообще нежелательно хранить ни в каком виде). Некоторые личные данные хранятся в файлах с использованием iOS Data Protection. Хранить их в keychain смысла не имеет, тем более, что их можно просмотреть в самом приложении, запустив его.
Следовательно, если пользователь не установил пароль на телефоне, и злоумышленник получил физический доступ к нему, то защищать эти данные уже невозможно.
Следовательно, если пользователь не установил пароль на телефоне, и злоумышленник получил физический доступ к нему, то защищать эти данные уже невозможно.
Ещё остаётся маскировка системных скриншотов. По вашему контраргументу и выводу о выдуманности проблемы вы не совсем понимаете, о чём вообще идёт речь. При сворачивании приложения, например, во время ввода данных кредитной карты, стоит как минимум скрывать текст в полях ввода.
Действительно, попадание платежных данных (как и паролей) на скриншот равноценно их сохранению в файл. Но решением здесь является не маскирование скриншота, а маскирование самого поля «звездочками». Таким образом, данные не будут видны не только на скриншоте, но и на самом экране (который можно увидеть, открыв само приложение, если оно еще запущено; либо просто «через плечо»).
Но часто данные предлагается вводить в банковскую платежную веб-форму, которая используется не только внутри приложений, но и в браузере. А в этом случае нельзя контролировать, какие скриншоты маскировать, зато можно маскировать поля. Но это задача разработчиков платёжной формы.
Но часто данные предлагается вводить в банковскую платежную веб-форму, которая используется не только внутри приложений, но и в браузере. А в этом случае нельзя контролировать, какие скриншоты маскировать, зато можно маскировать поля. Но это задача разработчиков платёжной формы.
В следующий раз попробуйте мигающий баннер в ленту поставить. Говорят, сочетание красного с зелёным даёт небывалый CTR.
Sign up to leave a comment.
Безопасность мобильных приложений, или «Кто проверит проверяющих?»